Signaler une vulnérabilité sous le CRA : 24 h, 72 h et 14 jours

Le Cyber Resilience Act est souvent associé à décembre 2027. Pourtant, une de ses obligations s’applique déjà : depuis le 11 septembre 2026, les fabricants doivent signaler certaines vulnérabilités et certains incidents dans des délais très courts. Voici ce qu’il faut signaler, quand, à qui et comment, y compris depuis la Suisse.

Ce que l’article 14 impose depuis le 11 septembre 2026

Depuis le 11 septembre 2026, l’article 14 du Cyber Resilience Act (règlement (UE) 2024/2847) oblige tout fabricant d’un produit comportant des éléments numériques vendu dans l’UE à signaler deux types d’événements : une vulnérabilité activement exploitée dans son produit et un incident grave ayant des répercussions sur la sécurité du produit (art. 14(1) et 14(3), art. 71(2)).

Le signalement se fait en trois temps : une alerte précoce au plus tard 24 heures après la prise de connaissance, une notification au plus tard 72 heures après, puis un rapport final, au plus tard 14 jours après la mise à disposition d’un correctif pour une vulnérabilité, ou dans un délai d’un mois après la notification pour un incident. Tout passe par la plateforme unique de signalement de l’ENISA (art. 16), qui transmet en même temps au CSIRT coordinateur compétent et à l’ENISA.

Trois points surprennent souvent :

• un fabricant sans établissement dans l’UE, par exemple une PME suisse, n’est pas dispensé : il s’adresse au CSIRT de l’État de son mandataire, à défaut de son importateur ou de son distributeur (art. 14(7)) ;
• l’obligation vaut aussi pour les produits vendus avant le 11 décembre 2027 (art. 69(3), version anglaise ; la version française contient une erreur de rédaction) ;
• le fabricant doit aussi informer les utilisateurs touchés (art. 14(8)).

À l’inverse, une faille trouvée par un chercheur ou par vos tests, sans exploitation malveillante, n’est pas à notifier obligatoirement. Le signalement précède de quinze mois les exigences de conception : voir notre calendrier du CRA.

En clair : un CSIRT est une équipe nationale de réponse aux incidents ; l’ENISA est l’Agence de l’Union européenne pour la cybersécurité.

Que faut-il signaler, et que ne faut-il pas signaler ?

Le CRA n’impose pas de signaler toutes les failles : seules les vulnérabilités pour lesquelles il existe des preuves fiables d’une exploitation malveillante, et les incidents graves touchant la sécurité du produit, sont à notifier.

• vulnérabilité : faiblesse, susceptibilité ou faille d’un produit pouvant être exploitée par une cybermenace (art. 3, point 40) ;
• vulnérabilité activement exploitée : vulnérabilité pour laquelle il existe des preuves fiables qu’un acteur malveillant l’a exploitée dans un système sans l’autorisation du propriétaire (art. 3, point 42) ;
• incident grave : la gravité n’est pas définie à l’article 3 mais à l’article 14(5). Un incident est grave s’il entache, ou peut entacher, la capacité du produit à protéger la disponibilité, l’authenticité, l’intégrité ou la confidentialité de données ou fonctions sensibles ou importantes, ou s’il a conduit, ou peut conduire, à l’exécution d’un code malveillant dans le produit ou dans le réseau de l’utilisateur.

Selon la FAQ de la Commission (v1.4, 5.2), une faille signalée de bonne foi dans un programme de prime aux bogues, ou trouvée par un laboratoire mandaté par le fabricant, sans preuve d’exploitation, n’est pas à notifier obligatoirement ; une « zero-day » l’est dès qu’il existe une preuve fiable d’exploitation malveillante. Le signalement volontaire reste possible (art. 15).

Composants tiers : si la vulnérabilité exploitée provient d’un composant intégré, le fabricant du produit notifie, et le fabricant du composant aussi s’il l’a mis sur le marché (FAQ 5.4). Si la faille n’est pas exploitable, ou pas exploitée, dans votre produit, vous ne la notifiez pas, mais vous la signalez au mainteneur du composant (art. 13(6) ; lignes directrices C(2026) 5252, point 218).

Situation	Signalement obligatoire (art. 14) ?	Référence
Chercheur de bonne foi, aucune exploitation connue	Non, signalement volontaire possible	FAQ CRA 5.2 ; art. 15
Client compromis via une faille de l’authentification du produit	Oui, vulnérabilité activement exploitée	art. 3, point 42 ; art. 14(1)
Serveur de mise à jour du fabricant piraté, micrologiciel piégé diffusé	Oui, incident grave	art. 14(5) b)
Faille d’une bibliothèque exploitée ailleurs, non exploitable dans votre produit	Non ; informer le mainteneur	FAQ 5.4 ; art. 13(6)

24 heures, 72 heures, 14 jours : le contenu de chaque étape

Le signalement CRA se déroule en trois étapes : une alerte précoce sous 24 heures, une notification sous 72 heures, puis un rapport final dont le délai diffère pour une vulnérabilité et pour un incident.

Chaque étape intervient « sans retard injustifié » et au plus tard à l’échéance ; les étapes 2 et 3 ne sont pas dues si l’information a déjà été communiquée (art. 14(2) et 14(4)).

Étape	Vulnérabilité activement exploitée (art. 14(2))	Incident grave (art. 14(4))
Alerte précoce, 24 h	États membres où le produit a été mis à disposition, le cas échéant	Au minimum : l’incident pourrait-il résulter d’actes illicites ou malveillants ? États membres concernés
Notification, 72 h	Informations générales sur le produit, nature de l’exploitation et de la vulnérabilité, mesures prises et mesures que les utilisateurs peuvent prendre, degré de sensibilité	Nature de l’incident, évaluation initiale, mesures prises et à prendre par les utilisateurs, degré de sensibilité
Rapport final	Au plus tard 14 jours après la mise à disposition d’une correction ou d’une atténuation : description, gravité, répercussions, acteur malveillant le cas échéant, détail de la mise à jour	Dans un délai d’un mois après la notification : description détaillée, gravité, répercussions, type de menace ou cause profonde, mesures d’atténuation

Un rapport intermédiaire peut être demandé (art. 14(6)). Le degré de sensibilité peut justifier, à la demande du fabricant et dans des circonstances exceptionnelles, un report limité de la diffusion aux autres CSIRT (art. 16(2)), dont les conditions sont précisées par un acte délégué adopté le 11 décembre 2025 (art. 14(9)).

Quand le compteur démarre-t-il ?

Le délai court dès que le fabricant « a eu connaissance » de l’exploitation ou de l’incident. Selon les lignes directrices de la Commission C(2026) 5252 (points 213 à 215, non contraignantes), tout événement suspect doit être évalué immédiatement ; le fabricant « a connaissance » dès qu’il atteint un degré raisonnable de certitude, puis complète ses notifications au fil de l’enquête. Horodatez et documentez cette évaluation initiale : c’est la meilleure preuve que le délai a été respecté.

À qui envoyer le signalement, y compris depuis la Suisse

Le fabricant notifie une seule fois, via la plateforme de l’ENISA, au CSIRT coordinateur de l’État membre de son établissement principal dans l’UE ; l’ENISA reçoit la notification en même temps (art. 14(7)).

L’établissement principal est l’État membre où sont principalement prises les décisions de cybersécurité des produits ; à défaut, celui de l’établissement qui compte le plus de salariés dans l’UE. Le CSIRT destinataire diffuse ensuite la notification aux CSIRT des États où le produit a été mis à disposition (art. 16(2)).

Sans établissement principal dans l’UE, l’article 14(7), troisième alinéa, fixe un ordre : l’État du mandataire, à défaut de l’importateur, puis du distributeur, en retenant chaque fois celui qui traite le plus de vos produits, et enfin l’État qui compte le plus d’utilisateurs.

Situation du fabricant	CSIRT compétent	Référence
Siège et décisions cyber dans un État membre	CSIRT de cet État	art. 14(7), 1er et 2e al.
Groupe avec plusieurs filiales dans l’UE	État où se prennent les décisions cyber, sinon celui du plus grand effectif	art. 14(7), 2e al.
Fabricant suisse avec mandataire en Allemagne	CSIRT allemand	art. 14(7) a)
Fabricant suisse sans mandataire, importateur principal en France	CSIRT français	art. 14(7) b)
Vente directe en ligne, sans intermédiaire dans l’UE	État comptant le plus d’utilisateurs	art. 14(7) d)

La Suisse n’a pas encore d’équivalent du CRA (le Conseil fédéral a chargé le DDPS, le 25 septembre 2026, de préparer d’ici juin 2027 un projet de loi fédérale sur la cybersécurité basé sur le CRA). Mais un fabricant suisse qui met des produits sur le marché de l’UE est soumis à l’article 14 pour ces produits. Identifiez dès maintenant votre mandataire (art. 18) ou votre principal importateur (art. 19), et donc votre CSIRT : voir le CRA pour une entreprise suisse.

À ne pas confondre : l’obligation suisse de signaler les cyberattaques à l’OFCS vise les exploitants d’infrastructures critiques, pas les fabricants en tant que tels.

La plateforme de l’ENISA en pratique

La plateforme unique de signalement est en service depuis le 11 septembre 2026 dans une première version (« capacité opérationnelle initiale ») ; ses fonctions évoluent encore.

D’après la FAQ de l’ENISA (mise à jour du 15 octobre 2026), l’accès se fait avec un compte EU Login personnel et une authentification multifacteur. Chaque fabricant a un représentant désigné principal, vérifié par le CSIRT, qui peut inviter des représentants secondaires. Un mauvais choix de CSIRT peut conduire à resoumettre la notification.

L’ENISA invite les fabricants à ne s’enregistrer qu’au moment d’un premier signalement, pour ne pas surcharger les CSIRT. Une seule notification suffit par événement, même pour un groupe à plusieurs filiales. Désignez au moins à l’avance la personne qui ouvrira le compte, avec un compte EU Login fonctionnel.

Informer les utilisateurs, y compris pour les produits déjà vendus

Le signalement aux autorités ne suffit pas : le CRA oblige aussi le fabricant à informer les utilisateurs touchés, et l’obligation couvre les produits mis sur le marché avant l’application générale du règlement.

L’article 14(8) impose d’informer les utilisateurs touchés et, s’il y a lieu, tous les utilisateurs, ainsi que des mesures qu’ils peuvent prendre, s’il y a lieu dans un format structuré lisible par machine ; à défaut, le CSIRT peut le faire. Canaux possibles : avis de sécurité sur votre site, courriel aux clients, message dans l’application, ou format CSAF pour les parcs d’appareils. Selon les lignes directrices C(2026) 5252 (points 220 et 221), cette information est proportionnée : pour des produits utilisés dans des environnements sensibles, le détail technique peut être réservé aux clients concernés jusqu’à la correction.

Pour les produits déjà vendus, l’article 69(3) étend l’article 14 aux produits mis sur le marché avant le 11 décembre 2027. Pour eux, le fabricant doit notifier, sans être tenu par le CRA aux autres obligations comme la gestion des vulnérabilités (FAQ 5.3). Le signalement continue même après la fin de la période d’assistance (lignes directrices, point 210).

Sur la rétroactivité, la Commission considère qu’une exploitation active connue avant le 11 septembre 2026 n’est pas à signaler ; si le fabricant apprend l’exploitation après cette date, même pour une vulnérabilité connue auparavant, l’obligation s’applique (C(2026) 5252, point 217 ; même position à l’ENISA). C’est une interprétation, pas une disposition expresse du règlement.

Des passerelles ou caméras vendues il y a des années entrent donc dans le périmètre : inventoriez vos produits encore en service.

Préparer son processus avant la première alerte

Tenir un délai de 24 heures suppose un processus écrit avant l’incident : un point de contact, une personne d’astreinte avec son accès à la plateforme, des critères de tri et des modèles de messages.

Le CRA en fournit le socle : point de contact unique (art. 13(17)), procédures de traitement des vulnérabilités (art. 13(8)), divulgation coordonnée, adresse de signalement, SBOM et avis de sécurité (annexe I, partie II). Ces exigences visent les nouveaux produits à partir du 11 décembre 2027, mais sans elles, le délai de 24 heures est difficile à tenir dès aujourd’hui.

Une équipe de réponse aux vulnérabilités produit (PSIRT) peut commencer avec une personne désignée et un suppléant. Recommandations, non imposées par le CRA : une page « Sécurité » avec une adresse dédiée, un fichier security.txt (RFC 9116), un tri en trois questions (exploitable ? exploitée ? grave ?) et un exercice à blanc.

Élément à préparer	Référence	Fait ?
Point de contact unique publié	art. 13(17) ; annexe II, point 2
Politique de divulgation coordonnée	annexe I, partie II, point 5
Inventaire des produits en service, y compris anciens	art. 69(3)
SBOM par version de produit	annexe I, partie II, point 1
CSIRT compétent identifié	art. 14(7)
Représentant désigné et suppléant pour la plateforme	FAQ ENISA
Modèles de messages 24 h, 72 h et rapport final	art. 14(2) et 14(4)
Modèle d’avis de sécurité pour les utilisateurs	art. 14(8) ; annexe I, partie II, point 4

Côté sanctions, le non-respect de l’article 14 peut coûter jusqu’à 15 millions d’euros ou 2,5 % du chiffre d’affaires annuel mondial (art. 64(2)). L’allègement prévu pour les microentreprises et petites entreprises qui manquent le seul délai de 24 heures (art. 64(10) a)) renvoie aux paragraphes 3 à 9 de l’article 64 ; sa portée exacte reste à confirmer, ne comptez pas dessus.

Voir aussi notre guide complet du Cyber Resilience Act et les produits concernés.

Säfeli vous aide à rédiger votre politique de divulgation, à organiser le traitement des vulnérabilités et à préparer vos modèles de signalement ; voir notre accompagnement CRA et le développement sécurisé. Säfeli accompagne ; le fabricant reste responsable de la conformité de son produit. Contactez-nous pour un premier entretien de 30 minutes.